MyDr to kolejna nauczka dla polskiego państwa: outsorcing usług publicznych nigdy się nie opłaca

Jako pacjent korzystałem z MyDr ledwie kilka razy. Odczucia miałem mieszane. Z jednej strony bardzo mi się podobało, że „moja” NFZ-owska przychodnia zafundowała sobie system do elektronicznej rejestracji wizyt na długie lata przed tym, zanim wreszcie zafundowało go sobie polskie państwo (jego uruchamianie jest w trakcie; ministra zdrowia Jolanta Sobierańska-Grenda zapowiada, że do końca roku 2027 ma on objąć wszystkie typy usług medycznych).

Ale była też druga strona – działało to bowiem generalnie kiepsko, aplikacja wykrzaczała się z niewiadomych powodów, przewijanie wolnych terminów było procesem żmudnym i irytującym, interfejs był mocno oldschoolowy i nieintuicyjny. Ot, polskie IT w swym anegdotycznym wydaniu.

Przyznam, że nawet przeszło mi przez myśl, że zbyt bezpiecznie to ten MyDr nie wyglądał. Ale oczywiście machnąłem na to ręką, bo aplikacja nie żądała ode mnie, przynajmniej tak wprost zbyt wielu danych. A ja nie do końca zdawałem sobie sprawę z tego, że MyDr to w rzeczywistości ogromny cyfrowy kombajn, który służy również do generowania i gromadzenia informacji medycznych po stronie samej placówki. Oczywiście nie jednej.

W wypadku publicznej służby zdrowia MyDr był zaś jednym z kluczowych elementów całego systemu outsourcingu, który wyręczał dotąd polskie państwo w zakresie prowadzenia Elektronicznej Dokumentacji Medycznej (EDM).

W obu wypadkach zewnętrzne firmy dostarczają publicznym systemom rozwiązań, których polskie państwo nie zdążyło się dorobić. I w obu wypadkach dzieje się to zdecydowanie zbyt długo i z potencjalnie coraz bardziej groźnymi skutkami. W wypadku MyDr te skutki już są. I naprawdę są groźne.

Outsorcing naszego bezpieczeństwa

System służył nie tylko do rejestrowania wizyt pacjentów, ale też – w zależności od wykupionej opcji – do zarządzania całymi placówkami medycznymi i prowadzenia całej ich dokumentacji medycznej.

A więc do

• tworzenia i zbierania kart pacjentów,
• dokumentacji wizyt,
• recept,
• zaleceń
• i statystyk zbiorczych.

Za koszty płaciły placówki – w wypadku tych NFZ-owskich zaś płaciły oczywiście publicznymi pieniędzmi. Tymi samymi, które NFZ wypłaca im w ramach kontraktów na prowadzone usługi medyczne, i którymi się płaci także za wszystkie inne usługi zewnętrzne. Takie na przykład jak sprzątanie czy wywóz śmieci i odpadów medycznych.

„Widzę to tak” to cykl, w którym od czasu do czasu pozwalamy sobie i autorom zewnętrznym na bardziej publicystyczne podejście do opisu rzeczywistości. Zachęcamy do polemik.

Zbieranie i przetwarzanie superwrażliwych danych medycznych obywatelek i obywateli trochę się jednak różni od sprzątania przychodni czy też dostarczania jej papieru do drukarek.

Tymczasem polskie państwo traktowało MyDr i analogiczne firmy dokładnie tak samo jak innych podwykonawców zewnętrznych. Outsorcing usług publicznych był zaś rozwiązaniem, które nie tylko nasze państwo wyręczało, ale też zwalniało je z odpowiedzialności.

Nie tylko z odpowiedzialności za stworzenie sprawnego systemu EDM, ale też z odpowiedzialności za bezpieczeństwo naszych medycznych danych i dotrzymywanie tajemnicy lekarskiej dotyczącej naszego stanu zdrowia i choroby. Naszych najbardziej wrażliwych danych nie pilnował państwowy system nadzorowany przez odpowiednie resorty i służby, lecz kierująca się zyskiem i dążąca do ograniczania kosztów prywatna firma podlegająca jedynie ustawie o RODO i kilku innym aktom prawnym dotyczącym bezpieczeństwa danych.

Zwolnieni z odpowiedzialności

Dziś więc, gdy wicepremier i minister cyfryzacji Krzysztof Gawkowski grzmi w sprawie wycieku danych 19 mln pacjentów, którzy w owym 2024 roku korzystali z przychodni będących kontrahentami MyDr, widzimy tak naprawdę dalsze próby prolongaty tego zwolnienia polskiego państwa z odpowiedzialności. Oczywiście na MyDr spadną zapewne srogie kary nałożone przez UODO. Firmie grożą też roszczenia odszkodowawcze ze strony poszkodowanych, a jej dalszy byt stoi pod dużym znakiem zapytania. I oczywiście to wszystko się MyDr należy.

Że w epoce, w której już całkiem dobrze funkcjonuje mObywatel i Portal Pacjenta, do banku musimy się logować niczym do Pentagonu, a świadomość dotycząca kwestii cyberbezpieczeństwa jest coraz bardziej powszechna, nasze dane medyczne z publicznej służby zdrowia funkcjonowały za publiczne pieniądze w systemie, nad którego bezpieczeństwem polskie państwo nie miało żadnej kontroli?

Oczywiście nie znęcajmy się tu przesadnie akurat nad Krzysztofem Gawkowskim. To jest też pytanie do jego poprzedników – Marleny Maląg, Waldemara Budy, Janusza Cieszyńskiego i Mateusza Morawieckiego (bo i były premier przez jakiś czas kierował tym samym resortem). Ale i na ministrach cyfryzacji lista adresatów się nie kończy, bo przecież to samo pytanie można zadać ministrom zdrowia, prezesom NFZ, prezesom Urzędu Ochrony Danych Osobowych, a także premierom.

Wszyscy oni w odpowiedzi szeroko rozłożą ręce.

To jest skrajnie niebezpieczne

Zastanówmy się jednak, jak czują się dziś pacjenci, których dane mogły znaleźć się wśród tych, które zostały wykradzione przez hakerów.

Na przykład takie (te przykłady nie odnoszą się do żadnych konkretnych osób), z których wynikałoby, że znany ksiądz poddawał się testom na HIV. Albo że ważny urzędnik leczył się psychiatrycznie. Albo że komendant wojewódzki policji cierpi na chorobę, która de facto wykluczałaby go ze służby, gdyby tylko wiedziała o niej policyjna komisja lekarska. Lub że zamożny biznesmen ma właśnie pierwsze oznaki Alzheimera. Albo że pani Jadzia z drugiej klatki schodowej leczyła się z rzężaczki.

Wykradzione dane są też bardzo cenne jako całość. To kopalnia wiedzy na temat społeczeństwa, jego nawyków, przyzwyczajeń, wiedzy oraz wyobrażeń na tematy związane ze zdrowiem. To dane, które chętnie jako pakiet kupiłyby firmy z różnych branż biznesu – oczywiście po to, by w konsekwencji robić pieniądze na naszej prywatności. Zaznaczmy przy tym, że informacje o stanie zdrowia w powiązaniu z danymi pozyskanymi z innych źródeł mogą też tworzyć bardzo efektywne narzędzia cyfrowego profilowania – to skarb i dla BigTechów, i agencji marketingowych, i partyjnych spin-doktorów.

To dane, które mogą być pokarmem dla przestępców i obcych służb. Przypomnijmy, że Zaufana Trzecia Strona, która wyciek ujawniła, dostała od hakerów na potwierdzenie autentyczności dane pewnego znanego polityka. I że te dane zostały zweryfikowane. A oprócz danych osobowych polityka w przesyłce od hakerów była też lista 25 wystawionych na niego recept. Trochę więcej grzebania i zapewne dałoby się dowiedzieć, na co ów polityk jest chory.

Nie dajmy więc się zwieść ani komunikatom firmy MyDr, ani oświadczeniom jej większych kontrahentów (jak duże sieci medyczne). Pogrywając sobie z pojęciem prawnym „incydent naruszenia bezpieczeństwa danych osobowych” nazywają tę katastrofę, używając języka jak najbardziej potocznego, „incydentem”

Ten wyciek jest potencjalnie skrajnie niebezpieczny, a pacjenci, którzy zostali nim objęci, naprawdę mają się czego obawiać. Skorzystanie z rady ministra Gawkowskiego i zastrzeżenie PESEL-u to jak najbardziej rozsądny krok.

Za to polskie państwo po raz kolejny dostało nauczkę. Tę samą, którą dostało już wielokrotnie wcześniej. Outsorcing usług publicznych nigdy się na dłuższą metę nie opłaca. Prędzej czy później zamiast zysku i świętego spokoju będzie płacz i zgrzytanie zębami. Tak jak teraz.